Some issues with data degradation between upstream, CVE and NVD, then Gihub, OSV and Gitlab
Maintainer thường phản hồi trong vòng 1 ngày
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 4/5
- Thời gian dự kiến
- 3-5 ngày
- Mức phù hợp với người mới
- 50/100
Hướng nghiên cứu
Issue không nêu cụ thể file hoặc test nào. Hãy bắt đầu bằng cách lần theo pipeline ingestion của VulnerableCode dành cho các nguồn advisory bên ngoài (MITRE/NVD/GitHub/OSV/GitLab) và bước chuẩn hóa trường, nơi các title, PURLs và CPEs được hợp nhất. Tái hiện bằng cách kiểm tra CVE-2026-50628 được biểu diễn như thế nào ở từng giai đoạn, đặc biệt là tại nơi dữ liệu CPE rộng hơn thay thế dữ liệu Maven artifact chính xác. Được xem là hoàn tất khi advisory đã chuẩn hóa vẫn giữ đúng phạm vi package và không suy giảm thành metadata sản phẩm chung chung/không chính xác.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Some ASF projects are seeing their CVE records appearing mangled in GitHub Advisories, but this is only a symptom of a deeper problem and not specific to the ASF. Thanks for @ppkarwasz for the details
An example is CVE-2026-50628 (disclosed on June 12th), which has a CVSS score of 9.8, and is only present in that PURL pkg:maven/org.apache.cxf/cxf-rt-rs-security-oauth2 and not in the whole CXF codebase.
Here are some background:
-
at MITRE: https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/50xxx/CVE-2026-50628.json or https://www.cve.org/CVERecord?id=CVE-2026-50628 have Maven coordinates properly provided at least in the name
-
at NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-50628 or https://github.com/olbat/nvdcve/blob/master/nvdcve/CVE-2026-50628.json if the NVD is down. See rough history at https://github.com/fkie-cad/nvd-json-data-feeds/commits/main/CVE-2026/CVE-2026-506xx/CVE-2026-50628.json
- initial record mostly empty when pulled from MITRE https://github.com/fkie-cad/nvd-json-data-feeds/blob/bde8d216748790cf40fc461aa9e9351dd7c06e96/CVE-2026/CVE-2026-506xx/CVE-2026-50628.json
- on June 15th, update to add an incorrect CPE, too wide cpe:2.3🅰️apache:cxf, a product with dozens of different artifacts, and not the actual package that is affected https://github.com/fkie-cad/nvd-json-data-feeds/blob/c8e589f587fe50f16712ebc10079e4fde00a1210/CVE-2026/CVE-2026-506xx/CVE-2026-50628.json#L49
- on June 17th, update to get more data from the CVE record with better data https://github.com/fkie-cad/nvd-json-data-feeds/blob/644f9fc5bd0a10688470dc004d55d76098d99f56/CVE-2026/CVE-2026-506xx/CVE-2026-50628.json but the CPE is still wrong.
- On top of that, RedHat later adds CPE-keyed, VEX-like statements of whether their larger products are affected or not https://github.com/fkie-cad/nvd-json-data-feeds/blob/2dd45b48e0efa0fde64742f95da829dc45ea506c/CVE-2026/CVE-2026-506xx/CVE-2026-50628.json
-
at Github: https://github.com/advisories/ghsa-g5v7-jchf-7jrr is initially published with mostly nothing known, no title, no artifact, no affected ranges, and 2 months later still is the same https://github.com/github/advisory-database/blob/dbc1435941d42e394de655b8e344b1aab124a9a4/advisories/unreviewed/2026/06/GHSA-g5v7-jchf-7jrr/GHSA-g5v7-jchf-7jrr.json
Then OSV and GitLab
- Since this is "unreviewed" at Github, Gitlab ignores that advisory https://gitlab.com/search?search=CVE-2026-50628&nav_source=navbar&project_id=12006272&group_id=2452873&search_code=true&repository_ref=master
- The OSV pulls from GitHub and separately from Mitre that was backfilled with the same infor as NVD keeping the incorrect historical CPE published by the NVD https://osv.dev/vulnerability/CVE-2026-50628 and diluting the data further
- Ngôn ngữ chính
- Python
- Star
- 716
- Fork
- 347
- Merge trung bình
- 13 giờ 47 phút
- Pull request đã merge (30 ngày)
- 8
Chuẩn bị môi trường
- Có Dockerfile hoặc tệp Docker Compose
- Không có mẫu pull request
- Không có hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của aboutcode-org/vulnerablecode
-
OSV parser drops all crates.io affected entries because the ecosystem mapping uses cargoCó thể đã có người làm @Ashutosh-Panda2004 đã nhận 3 ngày trước. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100
aboutcode-org/vulnerablecode#2485 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Docker Compose setup fails on wait-for-it host web:8000 and missing runtime .envCó thể đã có người làm @Anurag-S1ngh đã nhận 6 ngày trước. Đang mở
Độ khó 2/5 Nửa ngày Mức phù hợp với người mới 77/100
aboutcode-org/vulnerablecode#2477 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
OVAL parser corrupts version bounds when the epoch is 10, 20 or the version contains "0:"Có thể đã có người làm @Ashutosh-Panda2004 đã nhận 4 ngày trước. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100
aboutcode-org/vulnerablecode#2474 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 86/100
aboutcode-org/vulnerablecode#2426 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Get NuGet package versions from federated PURL version data in https://github.com/aboutcode-data/Có thể làm lại được @Anshi321 đã nhận 26 ngày trước và không có pull request nào đang mở. Đang mởbug data-quality
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
aboutcode-org/vulnerablecode#2418 · 4 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
Tất cả issue của aboutcode-org/vulnerablecode
Issue tương tự
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 68/100
vllm-project/vllm#64845 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
bug
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 84/100
dekobon/big-code-analysis#1729 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Add `openai_safety_identifier`, the replacement for the `user` field that `openai_user` sendsĐang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100
pydantic/pydantic-ai#12091 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
bug
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 88/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100